Берд Киви
В
августе прошлого года на хакерской конференции BlackHat в Лас-Вегасе одна из
наиболее впечатляющих презентаций была сделана Робертом Грэмом (Robert Graham),
работающим в небольшой фирме Errata Security. Доклад и инструментарий Грэма
наглядно демонстрировали, как легко можно получать доступ к информации, которую
ее владельцы считают надежно защищенной.
Метод Грэма, названный SideJacking (то есть «побочное
подключение»), принципиально ничем не отличается от давным-давно известного
способа атаки под названием «человек посередине» (man-in-the-middle). Главная
особенность новой атаки - ее редкостная простота и легкость воплощения.
Большинство методов типа man-in-the-middle подразумевают незаметное вклинивание
в защищенный криптографией канал связи и дополнительный этап дешифровки
информации перехватчиком. Красота же метода SideJacking в том, что он не
требует никакой возни с шифрами, ключами и сертификатами.
Очень многие сетевые сервисы вроде Gmail, Blog-Spot,
Facebook, MySpace и им подобных предоставляют пользователям защищенный портал
для безопасного входа - с адресом https:// и шифрованием по протоколу SSL. Но
после того, как логин и пароль введены, последующий сеанс связи обычно проходит
в открытом виде. Делается это ради экономии компьютерных ресурсов, а для
поддержания безопасности применяют метод попроще, называемый «идентификатор
сеанса» (session ID). Как правило, это однократно генерируемая строка
случайного вида, передаваемая в cookies или URL-адресе сеанса. Именно этот
идентификатор и является целью SideJacking’а. Для перехвата используется
сниффер беспроводных сетей WiFi или прокси-сервер. Получив идентификатор
сеанса, злоумышленник представляется выдавшему его сервису как подлинный
пользователь, после чего может делать с аккаунтом жертвы практически все, что
заблагорассудится.
Демонстрируя в прошлом году свой метод и реализующие его
программы Ferret и Hamster, Грэм отметил, что единственный способ защититься от
такой атаки - это перейти на полностью шифрованный сеанс связи. Благо некоторые
сервисы, вроде той же почты Gmail, его предоставляют - достаточно лишь поменять
в адресной строке http:// на https://. Однако теперь в блоге Грэма появилась
заметка, где он существенно скорректировал свою точку зрения на вопросы
безопасности протокола SSL в его конкретных реализациях.
Проанализировав сеансы почты Gmail c SSL-шифрованием, Грэм
установил, что если работа протокола по тем или иным причинам нарушается, то
система автоматически переходит в открытый режим передачи. В частности, когда
пользователь пытается подсоединиться к Google Mail через точку доступа WiFi,
система автоматически пробует оба варианта подключения - сначала с включенным,
затем с выключенным SSL. В итоге через эфир проходит «печенька» с идентификатором
сеанса в открытом виде. А значит, ее может перехватить и использовать
находящийся поблизости злоумышленник, оснащенный шпионскими средствами. И дабы
стало ясно, что это проблема всеобщего характера, остается сказать, что почта
Gmail приведена здесь лишь в качестве примера, причем далеко не худшего. Ибо,
как свидетельствуют эксперты, автоматический переход в лишенный шифрования
режим работы при сбоях практикуют очень многие сайты, использующие SSL, за
исключением разве что банков (да и то не всех).
Весной нынешнего года Роберт Грэм собирался принять
участие в европейской конференции BlackHat в Амстердаме, где непременно
продемонстрировал бы свои новые открытия - случись это год-два назад. Теперь же
в Германии, Британии и некоторых других странах ЕС принимаются драконовские
законы, объявляющие преступлением изготовление и распространение хакерских
аналитических программ. Поэтому и деловая поездка в некогда либеральную
Голландию теперь вызывает у хакеров вроде Грэма резонные опасения.
В подобных декорациях весьма своеобразно смотрятся
конфиденциальные документы германских властей, недавно слитые в Сеть через сайт
компромата WikiLeaks. В просочившихся бумагах Министерство юстиции, прокуратура
и полиция федеральной земли Бавария препираются насчет того, кому платить за
недешевые шпионские услуги по установке троянцев на ПК подозреваемых - для
доступа к зашифрованным SSL-сеансам и телефонным разговорам через Skype.
Германская фирма Digitask, на коммерческой основе оказывающая властям эти
«интимные» услуги, в условиях запрета на вольное хакерство заломила цену как
заправский монополист. Месяц прослушки Skype оценен в 3500 евро, перехвата SSL
- в 2500 евро, стоимость инсталляции ПО - еще 2500 евро сверху.
Особо странно эти калькуляции выглядят по той причине, что
все криптохозяйство системы Skype хранится по соседству, в Люксембурге. А сама
компания никогда не скрывала, что охотно сотрудничает с правоохранительными
структурами. Иначе говоря, получается, что баварские власти кряхтят от высокой
стоимости «неофициального» шпионажа. Эта ситуация очень напоминает похожие
расклады в сетях GSM, где сеансы шифрованной связи в действительности закрыты
только на участках между абонентом и базовой станцией соты, а на всех прочих
этапах пакеты передаются в открытом виде. Другими словами, с санкционированным
подслушиванием через оператора технически нет никаких проблем. Однако органы
обычно предпочитают использовать собственную аппаратуру. Да, дорого, зато без
лишней волокиты.